Legit Securityの代替ツール

CRACIは当社の製品であることを踏まえてお読みください。各選択肢はそれぞれのドキュメントに基づいて説明し、他のツールのほうが適している場合はそのように記載しています。

チームがLegit Security以外を検討する理由

Legit Securityは、自らをAIネイティブのASPMプラットフォームと称しています。ソース管理、CI、レジストリ、スキャナーに接続し、SDLCのシステム、パイプライン、それらに適用されたセキュリティ管理策のインベントリを維持し、それらにまたがる数百のポリシーを適用します。さらに、到達可能性分析を備えたネイティブのSASTとSCA、コード、Gitの履歴、ビルドログ、SlackやConfluenceなどのツールにおけるシークレット検出、IDE内のAI生成コード向けのVibeGuard、署名付きアテステーション付きのSBOMを提供しています。料金は公開していません。

それでもチームが代替ツールを比較するのは、主に次のような理由からです。

• 別のASPMを求めている。他のプラットフォームは、アーキテクチャのコンテキスト、パイプラインのポスチャー、サプライチェーンのグラフに異なる重み付けをしています。
• プラットフォームよりスキャンを重視。小規模なチームは、ガバナンスのレイヤーよりも、強力なスキャナーと公開された料金を求めることがあります。
• すべてがすでにGitHub上にある。コードとCIが1か所にあるなら、GitHub自身のセキュリティ機能で十分な場合があります。
• 設定ではなくビルドからのエビデンス。ポスチャープラットフォームは、APIを通じて設定やスキャナーの出力を読み取ります。リスクのあるパイプラインにフラグを立てることはできますが、ジョブが実際に何をダウンロードしたかは見えず、ジョブの実行中に接続を止めることもできません。

確認すべきポイント

• 幅か深さか：多数のツールを覆う1つのレイヤーか、ビルドなど1つのポイントへのより深い視点か。
• ネイティブのSAST、SCA、シークレットスキャンが必要か、それともすでに所有しているスキャナーを接続するか。
• CI/CDのポスチャー：ツールがどのパイプライン設定とワークフローのリスクを、どのCIシステムでチェックするか。
• SBOMと来歴の出どころ：コード解析、接続されたツール、またはビルドそのもの。
• ビルド中の制御：ジョブが到達できる範囲を制限する仕組みがあるかどうか。
• ベンダーが料金を公開しているか、そして何を課金単位としているか。

選択肢

1. CRACI（当社製品）

CRACIはGitHub Actionsのランナーです。runs-onをcraciに変更すると、各ジョブの実行中にパッケージを認識するプロキシが、パッケージソースから取得したものを記録します。CIキャッシュから復元されたパッケージや、npmのインストールフックがダウンロードするコードのように、どのロックファイルにも記載されない隠れた依存関係も含まれます。各SBOMは、ジョブごと、キャッシュごとに完全性を示します。ジョブの開始前に検証されるエグレスポリシーはフェイルクローズで動作するため、ビルドが到達できるのは許可した取得元だけです。CRACIは出荷したもののSBOMを継続的に再評価し、ビルドとリポジトリをまたいで検出結果を集約し、セキュリティチームはそれらをトリアージして、それぞれを修正を担当するチームに割り当てられます。

最適な用途：サプライチェーンの課題が「各リリースに何が入ったか」であり、ランナー、SBOM、脆弱性トラッキングを1か所にまとめたいGitHub Actionsのチーム。検討すべきケース：Legitをポスチャープラットフォームたらしめている機能がなくても問題ない場合。CRACIには、SAST、シークレットスキャン、到達可能性分析、CI/CDのポスチャーチェック、SDLCのインベントリ、スキャナーの集約がありません。現在対応しているのはGitHub Actionsのみで、GitLab CIとJenkinsはロードマップに掲載されています。CRACIとLegit Securityの比較

2. Apiiro

Apiiroは、現在エージェント型開発の保護を軸に据えているASPMプラットフォームです。Deep Code Analysisがコードからランタイムまでアーキテクチャをマッピングし、Risk GraphがApiiro自身のスキャナーとサードパーティツールの検出結果を関連付けて「有害な組み合わせ」を見つけます。サプライチェーンモジュールは、シャドーパイプラインを含むリポジトリとパイプラインのインベントリを作成し、脆弱なブランチ保護や異常なコミットにフラグを立てます。APIで接続し、CIの変更は不要です。

最適な用途：コードの動作と実行場所に基づいてリスクを順位付けしたい大規模なAppSecプログラム。検討すべきケース：CIの対応範囲の広さよりもアーキテクチャのコンテキストを重視する場合。Apiiroがパイプラインのポスチャー向けに掲載しているのはJenkinsとGitHub Actionsです。CRACIとApiiroの比較

3. OX Security

OX Securityは、独自のSAST、SCA、シークレット、IaC、コンテナのスキャン、Checkmarx、Snyk、Black Duckなどのツールからの検出結果の集約、そしてピン留めされていないアクション、過剰なワークフロー権限、リスクのあるWebhookにフラグを立てるCI/CDのポスチャーポリシーを備えたASPMプラットフォームです。Pipeline Bill of Materials（PBOM）は、パイプラインの定義、ランナーのID、ビルド引数、アーティファクトの署名をビルドごとに記録した署名付きの記録です。

最適な用途：複数のCIシステムにまたがるポスチャーポリシーとプルリクエストのゲート。検討すべきケース：GitHub Actions、GitLab、Jenkins、Azure Pipelines、CircleCIを使っている場合。OXはコントリビュートする開発者単位で課金し、定価は公開していません（2026年9月時点）。 CRACIとOX Securityの比較

4. Cycode

Cycodeは、自らをエージェント型開発セキュリティプラットフォームと称しており、ASPMから発展しました。到達可能性分析付きのSAST、SCA、コンテナとIaCのスキャン、CI/CDセキュリティ、シークレットとコード漏えいの検出、100以上のコネクタを備えたポスチャー管理を提供しています。ビルドのランタイムを担うCimonは、CIジョブ内で動作するeBPFエージェントで、プロセス、ネットワークエグレス、ファイルアクセスを監視し、実行時に観測したSBOMを生成します。

最適な用途：ビルドのランタイム保護を備えたASPMプラットフォームを求めるチーム。検討すべきケース：既存のランナーでCimonを使いたい場合。CycodeによるとCimonは無料のオープンソースです。Cycodeは料金を掲載しておらず、料金ページでは、アクティブな開発者数とAIの利用量に基づいて料金が決まるとしています（2026年9月時点）。CRACIとCycodeの比較

5. Kusari

Kusariは、サプライチェーンのメタデータ向けOpenSSFグラフであるGUACを共同開発したチームによる製品です。SBOM、VEXドキュメント、スキャナーの出力からナレッジグラフを構築し、新たな脆弱性の影響範囲を示し、到達可能性を分析して、AutoFixのプルリクエストを作成します。Kusari Inspectorは、GitHubとGitLabのプルリクエストをレビューし、推移的な脆弱性、シークレット、タイポスクワッティングされたパッケージ、安全でないGitHub Actionsのワークフローを検出します。

最適な用途：多数のSBOMソースとスキャナーにまたがる1つのグラフ。検討すべきケース：ポスチャーの懸念が主に依存関係とワークフローである場合。Inspectorは個人開発者とオープンソースプロジェクトで無料、Inspector for teamsは開発者1人あたり月額$25からです（2026年9月時点）。 CRACIとKusariの比較

6. Checkmarx One

Checkmarx Oneは幅広いAppSecプラットフォームです。SAST、SCA、シークレット、IaC、APIセキュリティ、DAST、コンテナ、悪意あるパッケージからの保護を備え、その上にポスチャー管理のレイヤーがあります。SCAは悪用可能なパスの分析を使い、ポリシーでビルドを失敗させることができます。

最適な用途：アプリケーションセキュリティテストを1社にまとめたい組織。検討すべきケース：SDLCのマップよりもスキャンの深さを重視する場合。料金は見積もり制です。 CRACIとCheckmarx Oneの比較

7. Aikido

Aikidoは、1つのダッシュボードにまとめられた幅広いAppSecスイートです。すべてのプランに、SCA、SAST、シークレット、IaC、クラウドのポスチャー、コンテナスキャン、DAST、ライセンススキャン、SBOM生成が含まれています。SCAは関数レベルの到達可能性分析を使い、AutoFixがプルリクエストを作成します。

最適な用途：ほとんどのスキャンを、料金が公開された1つのツールにまとめたい小規模なチーム。検討すべきケース：SDLCのガバナンスレイヤーが不要な場合。無料プランがあり、Basicは月額$350、Proは月額$600、Enterpriseは要問い合わせです（2026年9月時点）。 CRACIとAikidoの比較

8. GitHub Advanced Security

GitHubは、セキュリティ機能を2つのアドオンとして販売しています。Secret Protectionはプッシュ保護付きのシークレットスキャンをカバーし、Code SecurityはCodeQLによるコードスキャンと依存関係レビューを追加します。依存関係グラフとDependabotアラートはすべてのGitHubプランに含まれ、GitHub Actionsはアーティファクトのアテステーションを生成できます。

最適な用途：コードとCIがすべてGitHub上にある組織。検討すべきケース：他のソース管理やCIシステムへの対応がなくても問題ない場合。2026年9月時点で、GitHub TeamまたはEnterpriseプランにおいて、Secret Protectionはアクティブなコミッター1人あたり月額$19、Code Securityは$30です。 CRACIとGitHub Advanced Securityの比較

9. StepSecurity

StepSecurityは、GitHub Actionsを内側から保護します。Harden-Runnerは、GitHubホステッドを含む既存のランナー上で動作するエージェントで、すべての外向き接続、プロセス、ファイル書き込みを、それを引き起こしたワークフローのステップに結び付けます。まず監査モードでベースラインを作成し、その後許可リスト外のエグレスをブロックできます。StepSecurityはアクションのガバナンスとMaintained Actionsも提供しており、GitLab CIとAzure DevOpsにも対応しています。

最適な用途：CI/CDの主なリスクがGitHub Actionsのワークフローとランナーであるチーム。検討すべきケース：既存のランナーでランタイムの制御を行いたい場合。Communityティアはパブリックリポジトリで無料、Enterpriseはコントリビュートする開発者1人あたり月額$16です（2026年9月時点）。 CRACIとStepSecurityの比較

一覧で比較

ASPMプラットフォームとビルドセキュリティツールを、Legitと比較しています。Checkmarx One、Aikido、GitHub Advanced Securityはスキャナーであり、上記で説明しています。「記載なし」は、引用したベンダーのページにどちらとも記載がないことを意味します。

Legit Securityを使い続けるべきケース

• 多数のソース管理システムとCIシステムを運用しており、そのすべてを覆う1つのガバナンスレイヤーが必要な場合。
• 既存のスキャナーを統合し、関連付け、重複を排除して1つのキューにまとめたい場合。
• ソースコードだけでなく、ビルドログやSlack、Confluence、Jiraなどのツールにあるシークレットも見つける必要がある場合。
• ISO 27001、SSDF、SLSA、SOC 2などのフレームワークに対するポスチャーを1か所から報告している場合。

各ビルドの記録が要件に含まれているなら、デモを予約するか、GitHub Actionsのエグレスポリシー、ビルド時のSBOM生成、ソフトウェアサプライチェーンセキュリティツールの比較をご覧ください。

Legit Securityの代替ツールに関するよくあるご質問

比較検討の際によくいただくご質問への簡潔な回答

Legit Securityの最適な代替ツールは何ですか？

別のASPMプラットフォームなら、Apiiro、OX Security、Cycodeを検討してください。Kusariは、SBOMとスキャナーから1つのグラフを構築します。ポスチャーのレイヤーなしでスキャンだけを求めるなら、Checkmarx OneやAikido、すべてのコードがGitHub上にあるならGitHub Advanced Securityです。StepSecurityはGitHub Actionsに特化しており、ランナーのハードニングとCI/CDのポスチャーを扱います。CRACIはGitHub Actionsのランナーそのものを置き換え、各ビルドが取得したものを記録します。

Legit Securityの料金はいくらですか？

Legit Securityは料金を公開していません。2026年9月時点で、同社のサイトにはプランとパッケージ、営業窓口へのリンクがありますが、金額の記載はありません。代替ツールのうち、Aikido、StepSecurity、GitHub Advanced Security、Kusari Inspectorは料金を公開していますが、Apiiro、OX Security、Cycode、Checkmarxは公開していません。

Legit Securityの無料の代替ツールはありますか？

一部の機能についてはあります。Legit自身のLegitifyは、安全でないGitHubとGitLabの設定を見つけるApache 2.0のオープンソースツールです。StepSecurityのCommunityティアはパブリックリポジトリで無料、Aikidoには無料プランがあり、Kusari Inspectorは個人開発者とオープンソースプロジェクトで無料、GitHubはパブリックリポジトリでコードスキャンとシークレットスキャンを無料で有効にしています。ただし、Legitと同等の幅を持つ無料のASPMプラットフォームはありません。

Legit Security、Apiiro、OX Securityのどれを選ぶべきですか？

3つともソース管理、CI、スキャナーに接続するASPMプラットフォームです。Apiiroの強みは、Deep Code AnalysisとRisk Graphによるアーキテクチャのコンテキストです。OX Securityの強みは、CI/CDのポスチャーポリシーと、ビルドごとの署名付きPipeline Bill of Materialsです。Legitの強みは、SDLC全体のマップ、それにまたがる数百のポリシー、そしてビルドログ、Slack、Confluence、Jiraまで届くシークレット検出です。いずれもビルドを実行するものではありません。

CRACIはLegit Securityの代わりになりますか？

部分的にはなります。GitHub Actionsでビルドするソフトウェアについて、CRACIはビルドのエビデンスの側面を置き換えます。CRACIはランナーそのものなので、各ビルドが取得したものを記録し、エグレスポリシーを適用し、出荷したもののSBOMを監視し続けます。SAST、シークレットスキャン、到達可能性分析、CI/CDのポスチャーチェックは行わず、SDLCのインベントリもなく、他のスキャナーの結果を集約することもありません。また、現在対応しているのはGitHub Actionsのみで、GitLab CIとJenkinsはロードマップに掲載されています。これらが必要なチームは、そのためにスキャナーやポスチャーツールを併用します。